Webhook：初学者指南🌐🔗

在当今互联互通的世界中，webhook 已成为自动化工作流程和实现应用程序之间实时通信的重要工具。如果您是 webhook 新手，那么一开始理解它们的基础知识似乎很困难。幸运的是，**Webhook.site** 等工具让您可以轻松学习和试验 webhook，而无需设置服务器。🚀

在本指南中，我们将介绍什么是 webhook、它与 API 有何不同以及如何保护它们。

什么是 Webhook？🤔

Webhook 是应用程序在特定事件发生时向其他系统发送实时数据的一种方式。Webhook 允许服务器在触发事件时将数据推送到客户端，而不是不断检查更新（轮询）。🔄

Webhook 的关键组件

Webhooks 🆚 API

虽然 webhook 和 API 相关，但它们的用途不同：

Webhook.site 是什么？为什么我们要用它来演示？🌍

Webhook.site 是一款功能强大的工具，它通过模拟 webhook 端点来帮助您了解 webhook。它提供了一个可公开访问的 URL，您可以在其中发送数据并实时查看数据。这样就无需构建或部署自己的服务器，非常适合学习和测试。💻

Webhook.site 如何提供帮助

循序渐进：使用 Webhook.site 学习 Webhooks 📝

1. 生成 Webhook URL

https://webhook.site/a1b2c3d4-1234-5678-90ab-cdefghijklmn

2. 模拟向 Webhook 发送数据

您可以使用 **Postman** 或 **cURL** 等工具向此 URL 发送数据来模拟 webhook。

curl -X POST https://webhook.site/a1b2c3d4-1234-5678-90ab-cdefghijklmn \
       -H "Content-Type: application/json" \
       -d '{"event": "user_created", "user": {"id": 123, "name": "John Doe"}}'

3. 在 Webhook.site 上查看数据

4. 现实生活中的例子

假设你正在集成 GitHub webhook：

保护 Webhook 🔒

Webhook 涉及将数据发送到可公开访问的端点，这使它们成为恶意行为者的潜在目标。要保护 Webhook，请遵循以下最佳做法：

1.验证有效载荷✅

确保发送到 webhook 的数据符合您的预期。检查结构、必填字段和数据类型。

app.post('/webhook', (req, res) => {
      const payload = req.body;
      if (!payload.event || !payload.user) {
          return res.status(400).send({ error: 'Invalid payload' });
      }
      res.status(200).send({ message: 'Valid payload' });
  });

2. 使用秘密代币

const crypto = require('crypto');

  app.post('/webhook', (req, res) => {
      const secret = 'your-secret-key';
      const signature = req.headers['x-signature'];
      const payload = JSON.stringify(req.body);

      const hmac = crypto.createHmac('sha256', secret);
      hmac.update(payload);
      const expectedSignature = hmac.digest('hex');

      if (signature !== expectedSignature) {
          return res.status(401).send({ error: 'Invalid signature' });
      }

      res.status(200).send({ message: 'Signature validated' });
  });

3.限制IP访问

将传入请求限制为 webhook 发送者的已知 IP 地址。

app.use('/webhook', (req, res, next) => {
      const allowedIps = ['192.168.1.1'];
      const clientIp = req.ip;

      if (!allowedIps.includes(clientIp)) {
          return res.status(403).send({ error: 'Forbidden' });
      }

      next();
  });

4.使用HTTPS🌐

始终使用 HTTPS 加密传输中的数据并防止攻击者拦截。

5. 速率限制

通过限制请求数量来防止滥用或拒绝服务 (DoS) 攻击。

const rateLimit = require('express-rate-limit');

  const webhookLimiter = rateLimit({
      windowMs: 15 * 60 * 1000, // 15 minutes
      max: 100, // Limit each IP to 100 requests per window
  });

  app.post('/webhook', webhookLimiter, (req, res) => {
      res.status(200).send('OK');
  });

6. 使用适当的状态代码进行响应

根据验证结果使用适当的状态代码进行响应。

app.post('/webhook', (req, res) => {
      if (!req.body || !req.body.event) {
          return res.status(400).send({ error: 'Bad Request' });
      }
      res.status(200).send({ message: 'Webhook received' });
  });

7. 监控并记录 Webhook 📜

记录所有传入的 webhook 请求以检测异常和调试问题。

const fs = require('fs');

  app.post('/webhook', (req, res) => {
      const logData = `${new Date().toISOString()} - ${JSON.stringify(req.body)}\n`;
      fs.appendFileSync('webhook.log', logData);
      res.status(200).send({ message: 'Logged' });
  });

何时应使用 API 而不是 Webhook？🤔

在本节中，我们将探讨一些常见用例，您可能会想知道 API 或 webhook 是否是更好的选择。让我们深入研究几个场景，以明确每个工具何时最有用。

我可以使用 API 来追踪我的出租车的位置吗？🚗

是的，如果您要跟踪出租车的位置，通常会使用 **API**。原因很简单：API 非常适合提取频繁变化的 **实时数据**。您可以定期调用 API 来检查出租车的当前位置，确保您始终掌握最新信息。由于出租车的位置不断变化，API 允许您主动请求更新。

我可以使用 API 来处理包裹递送或付款状态等事件吗？📦💳

虽然 Webhook 通常是包裹递送或付款确认等事件驱动场景的首选解决方案，但此处仍可使用 **API**。但是，如果您使用 API，则需要定期 **轮询服务器** 以检查状态（例如，“包裹已递送吗？”或“付款成功了吗？”）。此方法有效，但效率可能不高，尤其是如果您检查得太频繁。

这就是为什么 **webhook** 通常是此类事件的更有效选择。事件发生后，webhook 会实时向您 **推送** 更新，让您无需不断检查更新。

那么，为什么不总是使用 API？🤷‍♂️

API 功能强大且用途广泛，但当您需要**主动控制**何时以及如何检索数据时，它们最有效。但是，如果您希望在事件发生时立即收到通知（例如，包裹已送达或付款已处理），**webhook 更适合**。它们允许您自动接收通知，而无需不断轮询更改。

结论

当然！以下是针对您的帖子的咨询式结论：

结论：了解 Webhook 和 API

在本指南中，我们探讨了 **webhook** 和 **API** 之间的根本区别，以及两者如何成为现代软件开发中的强大工具。无论您是向用户发送实时数据还是从服务器请求信息，选择正确的通信方法对于构建高效、响应迅速的系统都至关重要。

**Webhooks** 非常适合事件驱动架构，这种架构需要根据某些触发条件（例如包裹送达或付款时）自动推送数据。它们允许无缝通信，无需持续轮询，非常适合依赖实时更新的应用程序。

另一方面，**API** 更适合需要按需提取数据的情况。无论您是获取特定详细信息还是查询波动数据，API 都允许客户端根据需要发起请求，从而为您提供更多控制权。对于需要更复杂交互或数据检索的应用程序来说，它们是必不可少的。

最终，选择 Webhook 还是 API 取决于您要构建的交互的性质。问问自己：您的系统是否需要推送数据以响应事件，还是需要按需提取数据？

通过理解这两个概念和可用的工具，您就可以创建更高效​​的事件驱动系统。继续试验、测试和改进 API 和 webhook 集成方法，您很快就会充分发挥实时动态数据交换的潜力。